Ingen nivå sänder.
Ingen nivå styr över en länk.

Ingen radio och ingen GPS ombord på flottan, med det enda fastställda undantaget: de två minröjningskonfigurationerna, KAOS-MC Land och KMM-01, bär GNSS och kommandolänkar, och KMM-01 bär dessutom en marin radar och AIS för att se trafik och för att själv bli sedd. Överallt annars, i luften, på marken, i vatten eller under jord, sänder ingenting via radio och ingenting styrs över en länk. Att utesluta radion är ett konstruktionsbeslut taget vid ritbordet snarare än en lagning som läggs på senare, och regeln böjs inte för bekvämlighetens skull: ingen köpare behöver räkna ut vilken sida av den ett program ligger på. Röjningsarbete bär navigations- och kommunikationsutrustning på grund av arbetet snarare än på grund av plattformen – ett ytfartyg är enligt sjövägsreglerna skyldigt att bli sett och att svara, och båda maskinerna arbetar på mark och vatten vars perimeter kunden kontrollerar och har mätt upp, under en namngiven arbetsledare som ser på. Vad den utrustningen aldrig gör är att avgöra någonting. En förlorad länk inskränker vad maskinen får göra och stoppar, håller eller återkallar den, och säkerhetsbeteendet ligger aldrig nedströms länken.

En konstruktionsfilosofi ger tre sätt att styra en plattform, och ingen radio ingår i något av dem. Nivå 1, förinställd: banan beräknas före avfyrning och ingenting styr under flykten. På ledprojektilen Goose CS-110 är det bokstavligt – inget batteri, ingen motor, ingen mottagare, ingen servo, ingen sensor, ingen indikator och ingen tändare – så ingenting ombord kan störas eller förfalskas, eftersom ingenting finns ombord. Nivå 2, fiberstyrd: plattformen släpper ut en optisk fiber och en person kommenderar den ned genom tråden. En fysisk förbindelse kan inte störas, förfalskas eller pejlas, och den håller en människa i beslutskedjan genom själva konstruktionen. Detta är standardnivån i hela flottan och normen för kabelstyrning under vatten. Nivå 3, optisk AI: passiv avkänning ombord, optisk AI i luften och SLAM på marken. Plattformen tar emot och sänder inte, så den behöver ingen länk och erbjuder ingen att hitta.

Stegen är en ställdonsstege före allt annat. Nivå 1 ställer sina fenor en gång, vid avfyrningen, utan ställdonsrörelse under flykten och utan elektronik som måste överleva avfyrningspulsen. Nivå 2 och 3 behöver drivna fenor: ställdon, kraft och styrelektronik som kostar mer och måste leva genom avfyrningschocken. Manöverauktoritet köps med pengar och komplexitet, en nivå i taget. Nivåindelningen är också en tillverkningsstrategi: alla tre nivåer delar den formsprutade flygkroppen, avfyrningsfamiljen och produktionslinjen, och skillnaderna bor i nyttolastutrymmet. Under jord bär fibern mer än kommandon – den är brödsmulespåret tillbaka ut, och på borrlinjen är den den kanalprodukt som lämnas kvar i borrhålet.

Stegen är familjedoktrin snarare än en enhetlig specifikation, och fysik och uppdrag böjer den program för program. Goose CS-110 är Nivå 1 i ledprojektilkonfigurationen; framdriven omfattning ligger hos CS-120, som primärt är Nivå 2 fiberstyrd med en människa i beslutskedjan och Nivå 1 som degraderat läge. Det finns ingen ballistisk nivå till sjöss: fiberkabeln är arbetshästen i Vattenfamiljen, med avgränsad autonomi för långa sträckor. Underjordsfamiljen är Nivå 2 som standard – styrning, kommunikation, brödsmulespår och, på den djupa serien, kraft i en och samma sträng – och Nivå 3 där är endast kartläggningsautonomi, aldrig insatsautonomi. Där en luftburen sökare på Nivå 3 övervägs kommer juridiken först.

En auktoritetsordning styr båda halvorna av verksamheten, och den är en programkonstitution snarare än en inställning. Hård säkerhet rangordnas över den lokala människan, som rangordnas över en auktoriserad fjärroperatör, som rangordnas över den deterministiska styrningen, och planeraren kommer sist. Oberoende säkerhet tar bort rörelseenergi på sin egen väg, bevisar det säkra tillståndet och håller det sista vetot, och den får inte vara beroende av det allmänna operativsystemet, grafikprocessorn eller planeraren för en central säkerhetsåtgärd. En kvalificerad människa godkänner den avgränsade arbetsenveloppen, uppgiften och ingripandereglerna, och kan inte förbigå ett oberoende säkerhetsvillkor. Deterministisk rörelsestyrning kontrollerar och utför godkända primitiver inom maskinens egna gränser och kan inte uppfinna uppdragsavsikt. Uppgiftsintelligens föreslår och sekvenserar utan att ge spänning till ett ställdon. Inlärning under drift samlar underlag, avvikelser och operatörsdemonstrationer för nästa utgåva, och kan inte själv befordra ett nytt beteende till drift.

Avkänning är hur en plattform vet var den är och vad som finns omkring den. Ingenting av det är en länk, och ingenting av det kan starta en maskin. På flottan är den autonoma nivån passivt optisk: den läser ljus snarare än en kanal, så den ger en störsändare ingenting i spektrumet att hitta. På en konverterad maskin är perceptionsuppsättningen lokal och blandad – kameror, lidar och närhetsavkänning, som upplöser objekt, fritt utrymme, faror och den tillförlitlighet som hör till var och en – och en kamera som läser maskinens egen instrumentpanel är hur instrumentstatus hämtas, i stället för en avtappning från tillverkarens buss. Autonomi för tunga maskiner behöver en tillståndsuppskattning som ligger närmare vad en erfaren operatör faktiskt uppfattar, så tillståndsmängden är bredare än en position: chassi- och verktygsreferenser, marklutning och det lokala bärplanet, slirning och dragkraftstillförlitlighet, last och verktygsinteraktion, sensorhälsa, och tillförlitlighet i damm, motljus, nedbörd, mörker och skymd sikt. Okänt tillstånd är ett giltigt tillstånd, och när tillståndskvaliteten faller under vad en färdighet kräver saktar uppgiftssystemet in, stoppar, begär mänsklig granskning eller förbjuder färdigheten. Extern avkänning får ta bort auktoritet. Den får aldrig skapa den.

Påståendet är inte immunitet. Varje beroende arkitekturen tar bort namnges, och den funktion som fortsätter utan det namnges vid sidan av. Det finns ingen GNSS-mottagare, så en avgränsad lokal uppgift körs på positionsbestämning ombord och lokalt snarare än på en satellitposition hämtad på annan väg. Det finns ingen radiokommandolänk, och den lokala maskinuppgiften kräver ingen kontinuerlig kommandogivning. Det finns inget moln: uppdragskörning och säkerhetsfunktioner utförs lokalt, offline först. Det finns ingen extern karta: lokal perception bygger en uppgiftsrelevant representation av den mark maskinen arbetar i. Det finns ingen obligatorisk utländsk tjänst: en utgåva med stöd arbetar och återhämtar sig lokalt. Den enda länken är en fiber, endast under kabelnivån, och att förlora den slutar i ett definierat stopp eller en definierad nedgradering, aldrig i okontrollerad fortsättning.

Offline först är en konstruktionsegenskap snarare än ett driftsättningsalternativ. Offline-byggartefakter, signerade avbilder, beroendespeglar och återställningsmedia underhålls för fältversioner med stöd, och återställningsavbilden och dess rutin är kontrollerade. Externa system talar med en uppdragsgateway som endast översätter tillåtna begärandetyper till det godkända lokala uppgiftsordförrådet, maskinstyrnings- och säkerhetsnät hålls åtskilda från service- och uppdragsnät, och en extern länk kan inte skapa ställdonsauktoritet. Utgåvedisciplinen är nedskriven: säker och uppmätt uppstart där hårdvaran stöder det, signerade paket för fast programvara, programvara, modeller och kalibrering, rollbaserad serviceåtkomst skild från utvecklarprivilegier, en programvaruförteckning per utgåva med stöd, offline-uppdatering med kontroll av äkthet, kompatibilitet och återgång, skyddade händelse- och underhållsloggar, och signeringsbehörighet för utveckling, test och produktion hållen åtskild.

På sidan CDNS Autonomy är hårdvarugränsen hela poängen. Enheten tar sitt arbete på ett av tre sätt – inläst och plomberat vid dockan, en fiberkabel till en person vid en station på avstånd, eller sin egen perception inom samma regler. Sex gränssnittsfamiljer är vad en sats konstrueras kring snarare än en maskin: tvåaxlig handreglering, vridreglering, linjär fotreglering, diskret reglering, instrumentobservation och avkänning av dynamiskt tillstånd. Att behålla tillverkarens reglage är den styrande regeln: styrningen drivs från rattens centrum genom en adapterplatta, ratten borras inte, kransen står fri för mänskliga händer, och driften är backdrivbar, momentbegränsad och oberoende avkänd. Regler levereras plomberade och signerade med nycklar som hålls i Kanada, auktorisation är en tidsbegränsad licens som kan återkallas över tråd eller vid dockan, och det fysiska stoppet och den manuella frikopplingen på varje ställdon finns alltid kvar.

Tekniska detaljer släpps i steg. Vad som är offentligt är förmåga och sanerad arkitektur. Programredogörelser och sanerade gränssnittsdokument, därefter konfigurationsdokumentation, integrations-, cyber- och supportdokumentation, därefter ritningar, materialförteckningar och begränsade tekniska data, öppnas i fyra nivåer under sekretess-, export- och säkerhetskontroller. För en integratör är gränsen ett kontrollerat externt gränssnittsdokument över en kabelbunden anslutning eller en anslutning vid dockan, som bär uppdragsobjekt, status, hälsa och händelser, med den interna implementeringen skyddad: ett externt system begär arbete i det ordförrådet och får ingen ställdonsauktoritet. Varje förfrågan granskas, leverans kräver kanadensiska exporttillstånd utfärdade per sändning, och exportlinjen är juridik först. Konstruktionerna är patentsökta. Ingenting på den här webbplatsen är ett anbud, och inga priser förekommer på den.